📚 Études de cas sur la sécurité des mots de passe

En juin 2012, LinkedIn a confirmé qu'environ 6,5 millions de hachages de mots de passe avaient été publiés sur un forum de hackers russe. La véritable ampleur n'a été révélée qu'en mai 2016 quand 117 millions de combinaisons e-mail/mot de passe LinkedIn ont été mises en vente sur le dark web. La cause principale : l'utilisation de SHA-1 sans salage, permettant à des attaquants de craquer plus de 90 % des mots de passe en 72 heures.

Yahoo a subi deux violations majeures : 500 millions de comptes en 2014 et 1 milliard en 2013. Le chiffre total de 3 milliards de comptes compromis a été révélé en 2017 lors de l'acquisition par Verizon. Les mots de passe étaient hachés avec MD5 sans salage, encore plus faible que SHA-1.

La violation de RockYou a exposé 32 millions de mots de passe stockés en texte brut non chiffré. L'analyse des mots de passe a révélé les habitudes désastreuses des utilisateurs : « 123456 » était le mot de passe le plus courant, utilisé par 290 000 personnes. Cette base de données est devenue la liste de mots de passe de référence (« rockyou.txt ») utilisée dans les attaques par dictionnaire.

Les passkeys représentent l'avancement le plus significatif dans la sécurité d'authentification depuis des décennies. Ils éliminent entièrement les mots de passe pour les services pris en charge, rendant le hameçonnage et le vol d'identifiants techniquement impossibles. Le déploiement interne de Google (FIDO2) sur 85 000+ employés en 2018 a résulté en zéro attaque de hameçonnage réussie.